Die Lage
Am 7. April 2026 veröffentlichten FBI, CISA, NSA, EPA, DOE und US Cyber Command eine gemeinsame Warnung. Angreifer zielten auf internetexponierte SPS, vor allem von Rockwell Automation/Allen-Bradley. Sie veränderten Projektdateien und manipulierten, was auf HMI- und SCADA-Bildschirmen angezeigt wurde. Spätere Berichte nennen auch Schneider Electric Modicon M340 und Siemens S7-1200.
Fünf Sofortmaßnahmen
- Externe Sicht prüfen: Welche Ports Ihrer öffentlichen IP-Adressen antworten? Industrieprotokolle wie 102 (S7), 502 (Modbus) oder 44818 (EtherNet/IP) gehören nie ins Internet.
- Fernzugriff bündeln: Ein Zugang über VPN oder Jump-Host mit Mehrfaktor-Anmeldung. Direkte Portweiterleitungen abschalten.
- Schreibschutz aktivieren: Viele Steuerungen haben Schutzstufen oder einen Betriebsartenschalter. Nutzen Sie sie.
- Projektdateien sichern: Eine aktuelle, geprüfte Sicherung jedes SPS-Programms, offline aufbewahrt.
- Änderungen erkennen: Ein passiver Sensor meldet Schreibzugriffe von unbekannten Hosts sofort.
Die unterschätzte Schwachstelle
Viele Advisories des Jahres betreffen nicht die Steuerung selbst, sondern die Software drumherum: Fernwartungsclients, Firmware-Tools und Engineering-Workstations. Wer die Workstation übernimmt, braucht keine Lücke in der SPS. Behandeln Sie Engineering-Rechner deshalb wie Server: eigene Zone, keine E-Mail, kein Surfen.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.
